Критическая уязвимость в Jenkins раскрывает конфиденциальную информацию

Критическая уязвимость в Jenkins раскрывает конфиденциальную информацию

Критическая уязвимость в Jenkins раскрывает конфиденциальную информацию

Jenkins, популярная программная система с открытым исходным кодом, уведомила всех о критической уязвимости в веб-сервере Jetty, которая может привести к повреждению памяти и раскрытию конфиденциальной информации.

Отслеживаемая под идентификатором CVE-2019-17638 брешь получила 9,4 балла из 10 по шкале CVSS. Она затрагивает Eclipse Jetty версий 9.4.27.v20200227-9.4.29.v20200521.

«Существующая уязвимость позволяет не прошедшим аутентификацию злоумышленникам получить заголовки HTTP. Таким образом, в руки атакующих может попасть конфиденциальная информация, отправленная другому пользователю», — объясняют разработчики в официальном заявлении.

Проблема безопасности, затрагивающая Jetty и Jenkins Core, судя по всему, появилась с выходом Jetty 9.4.27. Именно в этой версии разработчики добавили механизм для обработки больших HTTP-заголовков, чтобы пресечь переполнение буфера.

Однако вместо переполнения буфера авторы софта столкнулись с другой распространённой проблемой — повреждение памяти и раскрытие информации. После анализа уязвимости разработчики выпустили Jetty 9.4.30.v20200611, в которой данная брешь уже отсутствует.

Подпишитесь на новости

МВД обвинило Telegram в игнорировании запросов по борьбе с наркотиками

МВД заявило, что Telegram полностью игнорирует обращения российских правоохранителей по борьбе с незаконным оборотом наркотиков. По версии ведомства, мессенджер наряду с даркнетом стал одной из ключевых площадок для вовлечения подростков в наркопреступления.

Об этом на заседании президиума Общественного совета при МВД рассказал врио начальника Главного управления по контролю за оборотом наркотиков Кирилл Смуров, передает ТАСС.

По словам Смурова, администрация Telegram не реагирует на запросы и не предоставляет сведения, а основатель платформы Павел Дуров (внесен в перечень террористов и экстремистов Росфинмониторинга) не идет на контакт с российскими правоохранителями.

Для сравнения представитель ведомства привел Яндекс. По его словам, компания удаляет запрещенный контент самостоятельно либо по первому запросу полиции. Telegram, судя по заявлению Смурова, такой готовности к сотрудничеству не демонстрирует.

Власти и раньше предъявляли претензии к мессенджеру. По озвученным данным МВД, с 2022 года с использованием Telegram совершено около 153 тыс. преступлений.

Роскомнадзор также сообщал о более чем 150 тыс. требований удалить противоправный контент, оставшихся без ответа. Нынешнее заявление касается прежде всего сотрудничества в борьбе с наркотиками.

RSS: Новости на портале Anti-Malware.ru